Laravel自定义忘记密码重置方案求助：不使用默认Auth组件

嘿，很高兴能帮到你！我之前也在Laravel里做过完全自定义的密码重置功能，没用到默认的AuthController，也解决了令牌清理的安全问题，给你分享几个实用的方案：

其实Laravel默认就有password_resets表（执行php artisan make:auth时会生成对应的迁移），你完全可以复用它，不用自己新建resetpassword表。针对未使用令牌的清理问题，最简单的方式是用任务调度定时删除过期记录：

1. 先确认你的password_resets迁移表包含created_at字段（默认生成的迁移里是有的）；
2. 打开app/Console/Kernel.php，在schedule方法里添加定时任务：

$schedule->call(function () {
    // 清理1小时前生成的未使用令牌，时间可以根据需求调整
    DB::table('password_resets')->where('created_at', '<', now()->subHours(1))->delete();
})->hourly();

这个任务会每小时自动清理过期的令牌，避免表中堆积无效数据，也降低了安全风险。

如果你坚持要自己创建resetpassword表，那可以给表加一个expires_at字段，同时做两层过期处理：

1. 表结构设计时，新增expires_at字段（datetime类型）；
2. 生成重置令牌时，设置过期时间（比如1小时后）：

$token = Str::random(60);
DB::table('resetpassword')->insert([
    'user_id' => $user->id,
    'token' => Hash::make($token), // 记得哈希存储令牌，别明文存！
    'expires_at' => now()->addHour(),
    'created_at' => now()
]);

3. 验证令牌时，先检查是否过期：

$resetRecord = DB::table('resetpassword')
    ->where('user_id', $userId)
    ->where('token', Hash::check($token, $record->token))
    ->where('expires_at', '>', now())
    ->first();

if (!$resetRecord) {
    // 令牌无效或过期，返回错误
    return redirect()->back()->withErrors('重置链接已过期或无效');
}

4. 同样用任务调度清理过期记录，或者在用户每次申请新令牌时，自动删除该用户的旧令牌：

// 生成新令牌前，先清理该用户的旧令牌
DB::table('resetpassword')->where('user_id', $user->id)->delete();

这样能确保用户每次只有一个有效的重置链接，安全性更高。

顺便给你梳理下完全自定义的核心步骤，避免踩坑：

• 第一步：创建前端页面，接收用户的邮箱/手机号，提交重置请求；
• 第二步：后端验证用户存在后，生成唯一令牌（用Str::random(60)生成足够长的随机串），哈希后存入数据库；
• 第三步：发送包含重置链接的邮件/短信，链接里带上令牌和用户标识（比如邮箱）；
• 第四步：用户点击链接进入重置页面，后端验证令牌的有效性和过期时间；
• 第五步：验证通过后，更新用户密码，同时立即删除该重置令牌（不管密码是否修改成功，令牌只能用一次）；

• 令牌一定要哈希存储，别直接存明文！不然数据库泄露的话，攻击者就能直接用令牌重置用户密码；
• 限制同一用户的重置请求频率（比如15分钟内只能请求一次），防止暴力攻击；
• 重置页面要加CSRF保护，避免跨站请求伪造；

内容的提问来源于stack exchange，提问作者Agil